vyhláška o kybernetické bezpečnosti

§ 30

účinné od 1. 1. 2015Typy kybernetických bezpečnostních incidentů

účinné od 1. 1. 2015(1) Podle příčiny jsou kybernetické bezpečnostní incidenty rozděleny do následujících typů

1. účinné od 1. 1. 2015a) kybernetický bezpečnostní incident způsobený kybernetickým útokem nebo jinou událostí vedoucí k průniku do systému nebo k omezení dostupnosti služeb,
2. účinné od 1. 1. 2015b) kybernetický bezpečnostní incident způsobený škodlivým kódem,
3. účinné od 1. 1. 2015c) kybernetický bezpečnostní incident způsobený překonáním technických opatření,
4. účinné od 1. 1. 2015d) kybernetický bezpečnostní incident způsobený porušením organizačních opatření,
5. účinné od 1. 1. 2015e) kybernetický bezpečnostní incident spojený s projevem trvale působících hrozeb a
6. účinné od 1. 1. 2015f) ostatní kybernetické bezpečnostní incidenty způsobené kybernetickým útokem.

účinné od 1. 1. 2015(2) Podle dopadu jsou kybernetické bezpečnostní incidenty rozděleny do následujících typů

1. účinné od 1. 1. 2015a) kybernetický bezpečnostní incident způsobující narušení důvěrnosti aktiv,
2. účinné od 1. 1. 2015b) kybernetický bezpečnostní incident způsobující narušení integrity aktiv,
3. účinné od 1. 1. 2015c) kybernetický bezpečnostní incident způsobující narušení dostupnosti aktiv, nebo
4. účinné od 1. 1. 2015d) kybernetický bezpečnostní incident způsobující kombinaci dopadů uvedených v písmenech a) až c).

§ 31

účinné od 1. 1. 2015Kategorie kybernetických bezpečnostních incidentů

účinné od 1. 1. 2015(1) Pro potřeby zvládání kybernetických bezpečnostních incidentů se podle následků a negativních projevů kybernetické bezpečnostní incidenty dělí do následujících kategorií

1. účinné od 1. 1. 2015a) Kategorie III - velmi závažný kybernetický bezpečnostní incident, při kterém je přímo a významně narušena bezpečnost poskytovaných služeb nebo aktiv. Jeho řešení vyžaduje neprodlené zásahy obsluhy s tím, že musí být všemi dostupnými prostředky zabráněno dalšímu šíření kybernetického bezpečnostního incidentu včetně minimalizace vzniklých i potenciálních škod.
2. účinné od 1. 1. 2015b) Kategorie II - závažný kybernetický bezpečnostní incident, při kterém je narušena bezpečnost poskytovaných služeb nebo aktiv. Jeho řešení vyžaduje neprodlené zásahy obsluhy s tím, že musí být vhodnými prostředky zabráněno dalšímu šíření kybernetického incidentu včetně minimalizace vzniklých škod.
3. účinné od 1. 1. 2015c) Kategorie I - méně závažný kybernetický bezpečnostní incident, při kterém dochází k méně významnému narušení bezpečnosti poskytovaných služeb nebo aktiv. Jeho řešení vyžaduje zásahy obsluhy s tím, že musí být vhodnými prostředky omezeno další šíření kybernetického bezpečnostního incidentu včetně minimalizace vzniklých škod.

účinné od 1. 1. 2015(2) Orgán a osoba uvedená v § 3 písm. c) až e) zákona při kategorizaci jednotlivých kybernetických bezpečnostních incidentů podle odstavce 1 zohlední

1. účinné od 1. 1. 2015a) důležitost dotčených aktiv informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury nebo významného informačního systému,
2. účinné od 1. 1. 2015b) dopady na poskytované služby informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury, nebo významného informačního systému,
3. účinné od 1. 1. 2015c) dopady na služby poskytované jinými informačními systémy kritické informační infrastruktury, komunikačními systémy kritické informační infrastruktury, nebo významnými informačními systémy a
4. účinné od 1. 1. 2015d) předpokládané škody a další dopady.

§ 32

účinné od 1. 1. 2015Forma a náležitosti hlášení kybernetických bezpečnostních incidentů

účinné od 1. 1. 2015(1) Orgán a osoba uvedená v § 3 písm. c) až e) zákona hlásí kybernetický bezpečnostní incident

1. účinné od 1. 1. 2015a) v elektronické podobě prostřednictvím
   1. účinné od 1. 1. 20151. elektronického formuláře zveřejněného na internetových stránkách Úřadu,
   2. účinné od 1. 1. 20152. emailu na adresu elektronické pošty Úřadu určené pro příjem hlášení kybernetických bezpečnostních incidentů, zveřejněné na internetových stránkách Úřadu,
   3. účinné od 1. 1. 20153. datové zprávy do datové schránky Úřadu, nebo
   4. účinné od 1. 1. 20154. prostřednictvím určeného datového rozhraní, jehož popis je zveřejněn na internetových stránkách Úřadu, anebo

1. účinné od 1. 1. 2015b) v listinné podobě na adresu Národního centra kybernetické bezpečnosti, zveřejněné na internetových stránkách Úřadu.

účinné od 1. 1. 2015(2) Hlášení v listinné podobě se zasílá pouze v případech, kdy nelze využít žádný ze způsobů uvedených v odstavci 1 písm. a).

účinné od 1. 1. 2015(3) Náležitosti hlášení kybernetického bezpečnostního incidentu jsou uvedeny v příloze č. 5 k této vyhlášce.

§ 33

účinné od 1. 1. 2015Reaktivní opatření

účinné od 1. 1. 2015Orgán a osoba uvedená v § 3 písm. c) až e) zákona oznámí provedení reaktivního opatření a jeho výsledek na formuláři, jehož vzor je uveden v příloze č. 6 k této vyhlášce.

§ 34

účinné od 1. 1. 2015Kontaktní údaje

účinné od 1. 1. 2015Orgán a osoba uvedená v § 3 zákona oznamuje kontaktní údaje na formuláři, jehož vzor je uveden v příloze č. 7 k této vyhlášce. Orgán a osoba uvedená v § 3 písm. c) až e) zákona oznamuje kontaktní údaje formou uvedenou v § 32 odst. 1 písm. a).

§ 35